Menyiapkan perimeter layanan menggunakan Kontrol Layanan VPC

Kontrol Layanan VPC adalah fitur Google Cloud yang memungkinkan Anda menyiapkan perimeter layanan dan menentukan batas transfer data. Anda dapat menggunakan Kontrol Layanan VPC dengan Eventarc untuk membantu melindungi layanan Anda.

Sebaiknya lindungi semua layanan saat membuat perimeter layanan.

Eventarc Advanced

Batasan berikut berlaku untuk dukungan Kontrol Layanan VPC untuk Eventarc Advanced.

Anda dapat memverifikasi dukungan Kontrol Layanan VPC untuk resource Enrollment, GoogleApiSource, MessageBus, dan Pipeline dengan melihat log platform terkait ingress.

Bus

Untuk memublikasikan peristiwa ke bus Eventarc Advanced, sumber peristiwa harus berada di dalam perimeter layanan yang sama dengan bus. Misalnya, bus di luar perimeter layanan tidak dapat menerima peristiwa dari project Google Clouddi dalam perimeter.

Untuk menggunakan pesan peristiwa, konsumen peristiwa harus berada di dalam perimeter layanan yang sama dengan bus Eventarc Advanced. Misalnya, bus di dalam perimeter tidak dapat merutekan peristiwa ke konsumen yang berada di luar perimeter.

Pipeline

Saat Anda membuat atau mengupdate pipeline Eventarc Advanced, validasi tujuan diterapkan secara ketat. Penegakan kebijakan tidak berlaku surut. Setiap pipeline yang dibuat sebelum Anda menyiapkan perimeter layanan akan terus berjalan. Anda tidak dapat membuat atau memperbarui pipeline dengan tujuan yang tidak didukung.

Tabel berikut mencantumkan tujuan yang didukung dan tidak didukung untuk integrasi Eventarc Advanced dengan Kontrol Layanan VPC:

Tujuan yang didukung
  • Cloud Run (*.run.app) dan Cloud Run Functions (*.cloudfunctions.net)
  • Google API pihak pertama (*.googleapis.com) yang didukung oleh Kontrol Layanan VPC—termasuk endpoint regional seperti *.rep.googleapis.com, LOCATION.SERVICE.googleapis.com, dan REGION-SERVICE.googleapis.com, serta endpoint mTLS (*.mtls.googleapis.com)
  • Bus Eventarc Advanced, topik Pub/Sub, dan alur kerja Workflows
  • Setiap tujuan HTTP—jika dikonfigurasi dengan lampiran jaringan
Tujuan yang tidak didukung
  • Endpoint HTTP eksternal, termasuk domain kustom Cloud Run dan Cloud Run Functions—diblokir dengan kode status HTTP 403
  • URL Cloud Run di domain *.cloud.run dan *.ai.studio—diblokir dengan kode status HTTP 403 karena hanya URL *.run.app yang didukung
  • Google API pihak pertama yang tidak didukung oleh Kontrol Layanan VPC (misalnya, layanan di Alpha)—diblokir dengan kode status HTTP 403

Eventarc Standard

Batasan berikut berlaku untuk dukungan Kontrol Layanan VPC untuk Eventarc Standard.

  • Dalam project yang dilindungi oleh perimeter layanan, Eventarc Standard terikat oleh batasan yang sama dengan Pub/Sub:

    • Saat merutekan peristiwa ke tujuan Cloud Run, Anda dapat membuat langganan push Pub/Sub baru hanya jika endpoint push ditetapkan ke layanan Cloud Run dengan URL run.app default. Domain kustom tidak berfungsi.

    • Saat merutekan peristiwa ke tujuan Workflows yang endpoint push Pub/Sub-nya ditetapkan ke eksekusi Workflows, Anda hanya dapat membuat langganan push Pub/Sub baru melalui Eventarc Standard. Akun layanan yang digunakan untuk autentikasi push untuk endpoint Workflows harus disertakan dalam perimeter layanan.

  • Karena Kontrol Layanan VPC memblokir pembuatan pemicu Eventarc Standard untuk endpoint HTTP internal, Anda tidak dapat merutekan peristiwa ke endpoint tersebut dalam perimeter layanan Kontrol Layanan VPC.

Langkah berikutnya